Para acessar o Google Cloud, você precisa autorizar a CLI do Google Cloud. Nesta página, mostramos as opções de autorização disponíveis e mostramos como gerenciar as contas que você usa para autorização. Se você usa uma instância do Compute Engine ou Cloud Shell, não é necessário autorizar a CLI gcloud.
Tipos de contas
Para conceder autorização à CLI gcloud para acessar o Google Cloud, use uma conta de usuário ou uma conta de serviço.
Uma conta de usuário é uma conta do Google Cloud que permite que os usuários finais se autentiquem no seu aplicativo. Na maioria dos casos de uso comuns, especialmente ao usar a CLI gcloud de forma interativa, a conta de usuário é a melhor prática.
Uma conta de serviço é uma Conta do Google associada ao seu projeto do Google Cloud e não a um usuário específico. É possível usar a conta de serviço integrada disponível ao usar funções do Cloud Run, App Engine, Compute Engine ou no Google Kubernetes Engine. Uma conta de serviço é recomendada para executar CLI gcloud scripts em várias máquinas.
Escolha um tipo de autorização
Você precisa autorizar a Google Cloud CLI a gerenciar o Google Cloud do Google Cloud. Tanto a CLI do Google Cloud quanto o Google Cloud usam OAuth2 para autenticação e autorização.
Escolha um dos seguintes tipos de autorização:
Tipo | Descrição |
---|---|
Conta de usuário | Recomendado se você estiver usando a CLI gcloud na linha de comando ou se estiver escrevendo scripts com a CLI gcloud para uso em uma única máquina. |
Conta de serviço | Recomendado se você estiver instalando e configurando a CLI gcloud
como parte de um processo de implantação de máquina em produção ou
Instâncias de máquina virtual do Compute Engine às quais todos os usuários têm acesso
para root . |
Para mais informações sobre autenticação e o Google Cloud, consulte Visão geral da autenticação.
Autorizar com uma conta de usuário
Use os seguintes comandos da CLI do gcloud para autorizar o acesso com uma conta de usuário:
Comando | Descrição |
---|---|
gcloud init
|
Autoriza o acesso e executa outras etapas de configuração comuns. |
gcloud auth login
|
Autoriza apenas o acesso. |
Durante a autorização, esses comandos recebem credenciais de conta do Google Cloud e as armazenam no sistema local. A conta especificada se torna a conta ativa na sua configuração. A CLI gcloud usa as credenciais armazenadas para acessar Google Cloud. É possível ter quantas contas você quiser com credenciais armazenadas em uma única instalação da CLI do gcloud, mas apenas uma conta permanece ativa por vez.
Executar gcloud init
gcloud init
autoriza o acesso e executa
outras etapas de configuração comuns. gcloud init
usos
um fluxo de autorização baseado na Web para autenticar a conta do usuário e conceder
permissões de acesso.
Para autorizar o acesso e executar outras etapas comuns de configuração:
Execute
gcloud init
:gcloud init
Ou para impedir o comando de abrir automaticamente um navegador da Web:
gcloud init --console-only
Usar a sinalização
--console-only
é útil se você estiver executando o comando em um sistema remoto que usassh
e não tem acesso a um navegador nesse sistema. Nesse caso, abra manualmente o URL fornecido em um navegador no sistema local para concluir o processo de autorização.Siga o fluxo de autorização baseado no navegador para autenticar a conta e conceder permissões de acesso.
Para mais informações sobre gcloud init
, consulte
Como inicializar a CLI gcloud.
Executar o gcloud auth login
Executar gcloud auth login
autoriza apenas a conta de usuário.
Para autorizar o acesso sem realizar outras etapas de configuração, use uma das opções abaixo.
Se você quiser autorizar a CLI gcloud em uma máquina com um navegador, siga estas etapas.
Autorize a CLI gcloud:
gcloud auth login
Siga o fluxo de autorização baseado no navegador para autenticar a conta e conceder permissões de acesso.
Para autorizar a CLI gcloud em uma máquina não tem um navegador e pode instalar a CLI gcloud no em outra máquina com um navegador, use a sinalização
--no-browser
.Autorize a CLI gcloud:
gcloud auth login --no-browser
Copie o comando longo que começa com
gcloud auth login --remote-bootstrap="
.Cole e execute esse comando na linha de comando de uma máquina diferente e confiável que tenha instalações locais de um navegador da Web e da ferramenta gcloud CLI versão 372.0 ou mais recente.
Copie a saída do URL longo da máquina com o navegador da Web.
Cole o URL longo de volta à primeira máquina, no prompt "Enter the output of the above command" e pressione Enter para concluir a autorização.
Se você quiser autorizar a CLI gcloud em uma máquina que não tem um navegador e não puder instalar a CLI gcloud em outra máquina com um navegador, use a flag
--no-launch-browser
. A flag--no-launch-browser
impede que o comando abra automaticamente um navegador da Web.Autorize a CLI gcloud:
gcloud auth login --no-launch-browser
Copie o URL longo que começa com
https://accounts.google.com/o/oauth2/auth...
Cole esse URL no navegador de outra máquina confiável que tenha um navegador da Web.
Copie o código de autorização da máquina usando o navegador da Web.
Cole o código de autorização na primeira máquina no prompt "Enter verification code" e pressione Enter para concluir a autorização.
Se você já tem um token de acesso, use uma das opções a seguir métodos para passar o token de acesso para a CLI gcloud:
- Armazene o token de acesso em um arquivo e defina seu caminho por meio do --access-token-file .
- Armazene o token de acesso em um arquivo e defina o caminho no auth/access_token_file .
- Defina a variável de ambiente
CLOUDSDK_AUTH_ACCESS_TOKEN
como o valor do token de acesso.
Autorizar com uma conta de serviço
O comando gcloud auth login
pode
autorizar o acesso com uma conta de serviço usando um arquivo de credenciais armazenado em
seu sistema de arquivos local. Essa credencial pode ser uma credencial de usuário com permissão
para representar a conta de serviço, um arquivo de configuração de credencial para
federação de identidade da carga de trabalho ou uma
chave de conta de serviço.
Autorizar uma conta de serviço usando a representação da conta de serviço
Para autorizar a CLI da gcloud a usar credenciais de conta de serviço falsificadas, faça o seguinte:
No console do Google Cloud, acesse a página "Contas de serviço".
Escolha uma conta atual ou crie uma nova clicando em Criar conta de serviço.
-
Para garantir que o principal tenha a permissão necessária a fim de representar uma conta de serviço, peça ao administrador para conceder a ele o papel do IAM de criador de tokens da conta de serviço (
roles/iam.serviceAccountTokenCreator
) na conta de serviço. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.Esse papel predefinido contém a permissão
iam.serviceAccounts.getAccessToken
, que é necessária para representar uma conta de serviço.O administrador também pode conceder essa permissão ao principal com papéis personalizados ou outros papéis predefinidos.
Autorize a CLI gcloud com sua identidade de usuário executando
gcloud auth login
.Para configurar a CLI gcloud para usar a identidade e fornecido por uma conta de serviço por padrão, use o comando de configuração da CLI gcloud:
gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL
Para parar de usar credenciais de conta de serviço personificadas com o CLI gcloud por padrão, cancele a definição da sinalização com o comando de configuração da CLI gcloud:
gcloud config unset auth/impersonate_service_account
Autorizar uma conta de serviço usando a federação de identidade da carga de trabalho
Para autorizar a CLI gcloud com uma conta de serviço usando credenciais da federação de identidade da carga de trabalho, faça o seguinte:
No console do Google Cloud, acesse a página "Contas de serviço".
Escolha uma conta atual ou crie uma nova clicando em Criar conta de serviço.
Crie um arquivo de configuração de credenciais para a federação de identidade da carga de trabalho seguindo as instruções seu provedor de identidade compatível.
Para ativar sua conta de serviço, execute
gcloud auth login
com o Sinalização--cred-file
:gcloud auth login --cred-file=CONFIGURATION_FILE
Substitua CONFIGURATION_FILE pelo caminho para um arquivo de configuração de credenciais da federação de identidade da carga de trabalho.
Autorizar uma conta de serviço usando uma chave
Autorizar a CLI gcloud com uma conta de serviço usando um serviço chave de conta, faça o seguinte:
No console do Google Cloud, acesse a página "Contas de serviço".
Escolha uma conta atual ou crie uma nova clicando em Criar conta de serviço.
Para criar chaves de conta de serviço, consulte as instruções do IAM para Criar uma chave de conta de serviço.
Para ativar a conta de serviço, execute
gcloud auth login
com a flag--cred-file
:gcloud auth login --cred-file=KEY_FILE
Substitua KEY_FILE pelo caminho para um arquivo de chave da conta de serviço.
Listar contas
Para listar as contas com credenciais armazenadas no sistema local, execute gcloud auth list
:
gcloud auth list
A CLI do gcloud lista as contas e mostra qual delas está ativa:
Credentialed accounts: - user-1@gmail.com (active) - user-2@gmail.com
Trocar a conta ativa
Para alternar a conta ativa, execute gcloud config set
:
gcloud config set account ACCOUNT
em que [ACCOUNT]
é o endereço de e-mail completo da conta.
Você também pode alternar entre contas criando uma configuração separada que especifique a conta diferente e alterne entre as configurações:
gcloud config configurations activate CONFIGURATION
Se você quiser alternar a conta usada pela CLI do gcloud a cada
invocação, modifique a conta ativa usando a flag
--account
.
Definir a duração da sessão autorizada
Como administrador, você controla por quanto tempo diferentes usuários podem acessar a CLI do gcloud sem precisar fazer a autenticação novamente. Por exemplo, é possível forçam os usuários com privilégios elevados a fazer uma nova autenticação com mais frequência do que a usuários comuns.
Para mais informações, consulte Definir a duração da sessão para os serviços do Google Cloud.
Revogar credenciais de uma conta
Revogue as credenciais quando quiser impedir o acesso da CLI gcloud por uma conta específica. Não é necessário revogar credenciais para alternar entre contas.
Para revogar as credenciais, execute
gcloud auth revoke
:
gcloud auth revoke ACCOUNT
Para revogar o acesso da CLI gcloud em todas as máquinas, remova a CLI gcloud da lista de aplicativos que têm acesso à sua conta.
Trabalhar com arquivos de credencial
Encontrar os arquivos de credenciais
Para encontrar o local dos seus arquivos de credenciais, execute gcloud info
:
gcloud info
A CLI gcloud imprime informações sobre a instalação. Arquivos de credenciais são armazenados no diretório de configuração do usuário:
User Config Directory: [/home/USERNAME/.config/gcloud]
Configurar o Application Default Credentials
A CLI gcloud oferece suporte ao gerenciamento de credenciais padrão
do aplicativo (ADC, na sigla em inglês) com o grupo de comandos
gcloud auth application-default
. Para disponibilizar as credenciais do usuário ao ADC, execute
gcloud auth application-default login
:
gcloud auth application-default login
Essas credenciais não são usadas pela CLI gcloud. Para mais maneiras de configurar o ADC, consulte Configurar o Application Default Credentials.
unset GOOGLE_APPLICATION_CREDENTIALS
gcloud config unset auth/impersonate_service_account
gcloud auth application-default login
A seguir
- Para saber mais sobre a autenticação e o Google Cloud, consulte a Visão geral da autenticação.
- Para saber mais sobre como personalizar a CLI gcloud, consulte Propriedades da CLI gcloud.
- Para saber mais sobre como gerenciar conjuntos nomeados de propriedades da CLI gcloud, consulte Configurações da CLI gcloud.